iceget
Feb 17, 2011
view8981
view6
0
Goto Top

Postfix - PHP Spamscript?! Wie ausfindig machen?

GermansolvedQuestionLinux
Hallo Liebe Community,


ich habe seit einer Woche das Problem das auf meinem Server (Web,Apache,MySQL,Mail) wo sich zirka 200 Domains befinden (wovon bestimmt 50% Safemode auf off gestellt sind) ein Spamscript mich mit dem Server immer in die Spamlisten einträgt. Ich habe folgendes Logfile (mail.log) von Postfix:

50731 Feb 17 13:52:28 ns1 postfix/smtp[1869]: connect to cluster3.eu.messagelabs.com[85.158.139.3]: Connection refused (port 25)
50732 Feb 17 13:52:28 ns1 postfix/smtp[1851]: connect to cluster8.us.messagelabs.com[216.82.241.99]: Connection refused (port 25)
50733 Feb 17 13:52:28 ns1 postfix/smtp[1864]: connect to cluster3.eu.messagelabs.com[194.106.220.35]: Connection refused (port 25)
50734 Feb 17 13:52:28 ns1 postfix/smtp[1867]: connect to cluster3.eu.messagelabs.com[194.106.220.35]: Connection refused (port 25)
50735 Feb 17 13:52:28 ns1 postfix/smtp[1870]: connect to cluster3.eu.messagelabs.com[194.106.220.35]: Connection refused (port 25)
50736 Feb 17 13:52:28 ns1 postfix/smtp[1867]: connect to cluster3.eu.messagelabs.com[85.158.137.35]: Connection refused (port 25)
50737 Feb 17 13:52:28 ns1 postfix/smtp[1869]: connect to cluster3.eu.messagelabs.com[194.106.220.51]: Connection refused (port 25)
50738 Feb 17 13:52:28 ns1 postfix/smtp[1864]: connect to cluster3.eu.messagelabs.com[85.158.139.3]: Connection refused (port 25)
50739 Feb 17 13:52:28 ns1 postfix/smtp[1866]: connect to cluster8.us.messagelabs.com[216.82.241.99]: Connection refused (port 25)
50740 Feb 17 13:52:28 ns1 postfix/smtp[1869]: connect to cluster3.eu.messagelabs.com[85.158.137.67]: Connection refused (port 25)
50741 Feb 17 13:52:28 ns1 postfix/smtp[1836]: connect to cluster8.us.messagelabs.com[216.82.241.99]: Connection refused (port 25)
50742 Feb 17 13:52:28 ns1 postfix/smtp[1872]: connect to cluster3.eu.messagelabs.com[85.158.137.35]: Connection refused (port 25)
50743 Feb 17 13:52:28 ns1 postfix/smtp[1870]: connect to cluster3.eu.messagelabs.com[85.158.139.3]: Connection refused (port 25)
50744 Feb 17 13:52:28 ns1 postfix/smtp[1867]: connect to cluster3.eu.messagelabs.com[85.158.136.35]: Connection refused (port 25)
50745 Feb 17 13:52:28 ns1 postfix/smtp[1869]: connect to cluster3.eu.messagelabs.com[85.158.137.35]: Connection refused (port 25)
50746 Feb 17 13:52:28 ns1 postfix/smtp[1861]: connect to team-bau.at[46.4.31.134]: Connection refused (port 25)
50747 Feb 17 13:52:28 ns1 postfix/smtp[1864]: connect to cluster3.eu.messagelabs.com[85.158.136.3]: Connection refused (port 25)
50748 Feb 17 13:52:28 ns1 postfix/smtp[1867]: connect to cluster3.eu.messagelabs.com[85.158.137.67]: Connection refused (port 25)
50749 Feb 17 13:52:28 ns1 postfix/smtp[1874]: connect to cluster3.eu.messagelabs.com[85.158.137.67]: Connection refused (port 25)
50750 Feb 17 13:52:28 ns1 postfix/smtp[1869]: connect to cluster3.eu.messagelabs.com[85.158.137.83]: Connection refused (port 25)
50751 Feb 17 13:52:28 ns1 postfix/smtp[1864]: connect to cluster3.eu.messagelabs.com[85.158.137.83]: Connection refused (port 25)
50752 Feb 17 13:52:28 ns1 postfix/smtp[1873]: connect to cluster3.eu.messagelabs.com[85.158.139.3]: Connection refused (port 25)
50753 Feb 17 13:52:28 ns1 postfix/smtp[1868]: connect to cluster3.eu.messagelabs.com[194.106.220.35]: Connection refused (port 25)
50754 Feb 17 13:52:28 ns1 postfix/smtp[1864]: connect to cluster3.eu.messagelabs.com[85.158.137.35]: Connection refused (port 25)
50755 Feb 17 13:52:28 ns1 postfix/smtp[1872]: connect to cluster3.eu.messagelabs.com[194.106.220.35]: Connection refused (port 25)
50756 Feb 17 13:52:28 ns1 postfix/smtp[1857]: connect to cluster8.us.messagelabs.com[216.82.241.99]: Connection refused (port 25)
50757 Feb 17 13:52:28 ns1 postfix/smtp[1874]: connect to cluster3.eu.messagelabs.com[85.158.136.35]: Connection refused (port 25)
50758 Feb 17 13:52:28 ns1 postfix/smtp[1870]: connect to cluster3.eu.messagelabs.com[194.106.220.51]: Connection refused (port 25)
50759 Feb 17 13:52:28 ns1 postfix/smtp[1872]: connect to cluster3.eu.messagelabs.com[85.158.137.83]: Connection refused (port 25)
50760 Feb 17 13:52:28 ns1 postfix/smtp[1875]: connect to cluster3.eu.messagelabs.com[85.158.136.3]: Connection refused (port 25)
50761 Feb 17 13:52:28 ns1 postfix/smtp[1875]: connect to cluster3.eu.messagelabs.com[85.158.137.35]: Connection refused (port 25)
50762 Feb 17 13:52:28 ns1 postfix/smtp[1873]: connect to cluster3.eu.messagelabs.com[194.106.220.35]: Connection refused (port 25)

Connection refused bekomme ich mittlerweile zurück, weil ich mit dem Server schon auf einigen SPAMListen eingetragen bin, ...

Jetzt finde ich aber nicht das Script was dafür verantwortlich ist. Zumindest habe ich die Apache Logfiles durchsucht, ... das Problem: das Script t_backuptoster_check.php gibt es nicht. Jedoch wird jeden Tag das Script ausgeführt. Auch die Webalizer Statistik zeigt mir das dass Script effektiv aufgerufen wurde (~ 22000 mal) und dann (scheinbar) wieder gelöscht wurde.

Jetzt meine Frage:
Wie kann ich herausfinden welches Script das macht? Bzw. kann ich den Server irgendwie absichern das wenn mehr wie 50 gleichzeitge E-Mails weggesendet werden, automatisch eine E-Mail an mich geht?


Ich hoffe ihr könnt mir helfen!


Ich verwende die aktuellste Version von Postfix auf einem Debian Etch (noch (werde das demnächst updaten)).


Vielen Dank!

glg Markus
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 161048

Url: https://administrator.de/contentid/161048

Printed on: April 19, 2024 at 20:04 o'clock

6 Comments
Latest comment
Goto Top
Member: adminst
adminst Feb 18, 2011 at 10:05:34 (UTC)
Goto Top
Hi

Wenn ich dich wäre würde ich so schnell wie möglich rausfinden über welchen User der Müll versendet wird.
Du hast ja hoffentlich für jede Domain einen eigenen User oder?, dann sperren.

Den du bist gesetzlich verpflichtet, wenn du dies nicht in kurzer Zeit rausfindest, den ganzen Server
vom Netz zu nehmen...

adminst
Member: SlainteMhath
SlainteMhath Feb 18, 2011 at 12:15:19 (UTC)
Goto Top
Moin,

Wie kann ich herausfinden welches Script das macht?
Also wenn's im Webalizer mit aufgeführt ist, dann steh's auch in den Apache Logs. D.,h. du weist zumindest in welchem Verzeichnis es einmal war, und welche (ftp-)User darauf zugriff haben.

kann ich den Server irgendwie absichern
Als Sofortmaßnahmen solltest Du die Passwörter *aller* FTP- und SSH-User incl. root ändnern, damit da nicht noch mehr anbrennen kann.

Dann:
safe_mode = on 
allow_url_fopen = false
magic_quotes = on
Und prüfen ob es bei den aktuell installieren PHP-Anwendungen bekannte Sicherheitslücken gibt.

und ggfs. mal ein
grep "t_backuptoster_check.php"
Über alle verfügbaren http- und ftp-logs sowie alle .bash_history Dateien.

Ansonsten: Patchen, patchen, patchen face-smile

/EDIT:
Das
wenn mehr wie 50 gleichzeitge E-Mails weggesendet werden, automatisch eine E-Mail an mich geht?
ist definitiv der falsche Ansatzpunkt. Wo heute Spammails verschickt werden, werdeb morgen warez/KiPos geserved.

Hoffe du hast am WE nix vor :P

lg,
Slainte
Member: dog
dog Feb 18, 2011 at 12:33:28 (UTC)
Goto Top
magic_quotes = on

Nanana, magic_quotes gehört immer auf off.
Das ist ein Legacy-Feature, was in PHP6 ohnehin rausfliegt weil es genau wie register_globals nur für schlechten Programmierstil gesorgt hat.

Es gibt übrigens auch die Funktion override_function und PHP benutzt zum Mail-Senden mail - das als Tipp.
Member: iceget
iceget Feb 18, 2011 at 19:42:00 (UTC)
Goto Top
Hey,

vielen dank!

Hab im FTP Logfile das raufladen der Datei gefunden. Habe nun das Passwort geändert!

Meine Frage wäre nur: ich hab in der php.ini unter sendmail path ein php script angegeben was mir jeden mail aufruf via php in ein logfile schreibt,
wieso hab ich das bei dieser php datei nicht gesehen?!?! es wurden einige tausende emails rausgeschickt, und nicht ein eintrag wurde in die phpsendmail.log eingetragen, ...

Wisst ihr wie der attentäter mails rausgesendet hat?

vielen dank!

glg markus
Member: dog
dog Feb 18, 2011 at 19:46:59 (UTC)
Goto Top
Wisst ihr wie der attentäter mails rausgesendet hat?

z.B. indem er einen eigenen SMTP-Client implementiert hat...
Member: iceget
iceget Feb 18, 2011 at 19:48:21 (UTC)
Goto Top
okay, das leuchtet mir ein!

danke und lg markus
GermansolvedQuestionLinux
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 3 CommentsAlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsjstrickerWIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 3 CommentsDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment